איסוף יומנים של Precisely Ironstream for IBM z/OS

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Precisely Ironstream for IBM z/OS ב-Google Security Operations באמצעות סוכן Bindplane.

‫Precisely Ironstream for IBM z/OS הוא פתרון להזרמת נתונים במחשבי מיינפריים, שמתעד רשומות SMF, יומני מערכת ואירועי אבטחה ממערכות IBM z/OS. ‫Ironstream מעביר בסטרימינג נתוני יומן מהמחשב המרכזי לשרת אזור נחיתה, שיכול להעביר את היומנים האלה באמצעות syslog לסוכן Bindplane.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין שרת אזור הנחיתה של Ironstream
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות למערכת IBM z/OS שמריצה את Precisely Ironstream
  • ‫Ironstream מוגדר לייצא רשומות SMF,‏ syslog או אירועי אבטחה לשרת אזור נחיתה

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/ironstream_zos:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: IRONSTREAM_ZOS
        raw_log_field: body

service:
    pipelines:
        logs/ironstream_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/ironstream_zos

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog של Ironstream

‫Precisely Ironstream מעביר נתוני יומן מ-IBM z/OS לשרת אזור נחיתה (Linux או Windows). מגדירים את אזור הנחיתה להעברת היומנים האלה באמצעות syslog לסוכן Bindplane.

  1. נכנסים למסוף הניהול של Ironstream בשרת אזור הנחיתה.
  2. עוברים אל הגדרה > יעדי פלט.
  3. כדי ליצור פלט syslog חדש, לוחצים על הוספת יעד.
  4. מספקים את פרטי ההגדרה הבאים:
    • סוג היעד: בוחרים באפשרות Syslog.
    • שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514.
    • פרוטוקול: בוחרים באפשרות TCP.
    • פורמט: בוחרים באפשרות BSD (RFC 3164) או IETF (RFC 5424) בהתאם לדרישות.
  5. בוחרים את מקורות הנתונים להעברה:
    • רשומות SMF
    • ‫z/OS syslog
    • אירועי אבטחה (RACF,‏ ACF2 או Top Secret)
  6. לוחצים על שמירה כדי להחיל את ההגדרה.
  7. מפעילים מחדש את שירות Ironstream כדי להפעיל את יעד הפלט החדש.

  8. כדי לוודא שהיומנים מתקבלים, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
jsondata.* additional.fields נתונים נוספים שלא מתאימים לסכימת UDM הרגילה
metadata.event_type סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
SMF119SC_SARIP_IPV4_0001, SMF119SC_SALIP_IPV4_0001 principal.asset.ip כתובת ה-IP של הנכס שמשויך למנהל
SMF119SC_SARIP_IPV4_0001, SMF119SC_SALIP_IPV4_0001 principal.ip כתובת ה-IP של הגורם המרכזי
DESTINATION_SEQUENCE_NUMBER target.resource.attribute.labels תוויות שמשויכות למשאב היעד
metadata.product_name שם המוצר שיצר את היומן
metadata.vendor_name שם הספק שיצר את היומן

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.